Erreiche einen Server hinter NAT oder einer Firewall – ohne offenen Port.

01  /  so funktioniert es

Der Server verbindet sich nach außen. Herein verbindet sich nichts.

Ein Reverse-Tunnel oder ein offener Port bedeutet, dass etwas auf deinem Server lauschen muss – und genau das blockieren NAT, CGNAT und Firewalls, und genau danach suchen Angreifer. Der Connector dreht das um:

• ▸Nur ausgehend. Der Agent öffnet eine Verbindung zu Termalin und hält sie aktiv. Er lauscht nie an einem Port, es gibt also nichts Eingehendes zu erlauben, weiterzuleiten oder zu scannen.
• ▸Er sieht nichts. Der Agent transportiert verschlüsselte SSH-Bytes zwischen Termalin und dem sshd des Hosts auf localhost – er sieht nie deine Zugangsdaten oder Klartext.
• ▸Er bleibt verbunden. Als Dienst installiert, verbindet er sich nach einem kurzen Netzwerkausfall oder einem Neustart von selbst neu.

02  /  mit einer Zeile installiert

Binde einen Server mit einem Befehl an.

Melde dich unter termal.in/account an, klicke auf Connector hinzufügen, um ein Anbindungs-Token zu erhalten, und führe das auf dem Server aus, den du erreichen willst:

curl -fsSL https://termal.in/tunnel-install.sh | sudo TERMALIN_TOKEN=<token> sh

Er lädt ein kleines statisches Binary herunter (Linux x86_64 oder arm64), bindet den Host an, installiert einen Dienst und verbindet sich. Führst du es später ohne Token erneut aus, aktualisiert es nur das Binary an Ort und Stelle. Das ist die ganze Einrichtung – keine Änderungen am Router, keine Anpassungen an der Security-Group.

03  /  schlüssellos, pro Mandant

Kein Schlüssel bleibt auf dem Server.

Beim Anbinden bringt der Connector den sshd des Servers dazu, der SSH-Zertifizierungsstelle (CA) von Termalin zu vertrauen, und jeder Login nutzt danach ein kurzlebiges Zertifikat, das bei Bedarf ausgestellt wird – es liegt kein langlebiger privater Schlüssel auf dem Server, den jemand stehlen könnte. Zertifikate sind an dein Konto gebunden: Dem sshd wird gesagt, nur den Principal deines Mandanten zu akzeptieren, sodass ein Zertifikat für jemand anderen abgelehnt wird, obwohl der Host der gemeinsamen CA vertraut.

04  /  was du darüber erreichst

Ein Terminal, Dateien, Datenbanken, Monitoring – und Agenten.

Sobald ein Server angebunden ist, erreicht ihn alles Gehostete schlüssellos:

• ▸Ein Web-Terminal. Öffne eine echte SSH-Sitzung aus dem Browser – vom Smartphone, Tablet oder einem Rechner, der nicht deiner ist. Siehe den Web-SSH-Client.
• ▸Dateien über SFTP. Durchsuche, bearbeite und übertrage Dateien (bis 100 MB) über dieselbe Verbindung.
• ▸Private Datenbanken. Erreiche eine Datenbank, die nur auf localhost lauscht, über den Datenbank-Client im Web-Kabinett.
• ▸KI-Agenten. Der gehostete MCP-Endpoint – und die Connectors für ChatGPT und claude.ai – führen Befehle auf angebundenen Servern aus, ohne dass ein Schlüssel herausgegeben wird, und lesen deren Monitoring und Alarme. Jeder Connector hat einen eigenen Schalter, um KI-Apps und API-Schlüssel von diesem Server fernzuhalten. Siehe SSH für KI-Agenten.
• ▸Monitoring und Alarme. Einmal pro Minute führt Termalin ein paar rein lesende Befehle über dieselbe Verbindung aus und macht daraus Dashboards und Alarme – ein Datenträger, der vollläuft, ein fehlgeschlagener Dienst, ein ablaufendes Zertifikat, der Server offline. Nichts zusätzlich zu installieren; standardmäßig an, mit einem Schalter für alle Server und einem pro Server. Siehe Server-Monitoring.